Virus dont j'ai le script !!

Salut.. Alors vous avez trouvez une soluution pour le virus i'm friend..
merci

re

t inkiete pas grand chose

quelques clé de registre qui m avaient echapé durant ma recherche sur cette infection

les autorun de usbfix garde es ils te protegent

@++ et merci pour la particiapation

BRAVO !!

Je te dis un grand merci Chiquitine29, ca y est le message n'apparait plus,
mais encore une petite question, vu que je n'ai pas compris tout ce qu'il y avait dans le script je me disais est-ce que tu avait tout lu et vu quels pourraient etre les autres dommages que ce script a fait, est-ce qu'il y avait autre chose que le message d'acceuil et le fond d'ecran ou c'etait seulement ca ???

Sinon je voudrais savoir ce que tu as fait pour y remédier si ce n'est pas trop demander bien sur ??
ou du moins les grandes lignes si c'est long à expliquer !!!!

Mais un grand bravo, et puis chapeau pour ta patience !!! Merci

ah au fait est-ce que je peux supprimer les autorun.ini que USBfix a ecrit sur mes disk ou dois-je les garder ???

oui fait la vaccination ensuite reboot et dis moi si t as encore le message

voila le rapport apres nettoyage :

-------------- UsbFix V2.411 ---------------

* User : Mehdi - BINON-LAPTOP
* Outils mis a jours le 21/11/2008 par Chiquitine29 et Chimay8
* Recherche effectuée à 19:28:49 le 21/11/2008
* Windows Xp - Internet Explorer 7.0.5730.13

--------------- [ Processus actifs ] ----------------

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\CDBurnerXP\NMSAccessU.exe
C:\Program Files\Raxco\PerfectDisk2008\PD91Agent.exe
C:\Program Files\SigmaTel\C-Major Audio\DellXPM_5515v133\WDM\STacSV.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Raxco\PerfectDisk2008\PD91Engine.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\userinit.exe
C:\DOCUME~1\Mehdi\LOCALS~1\Temp\1.tmp\b2e.exe
C:\Program Files\DellTPad\Apoint.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\SigmaTel\C-Major Audio\WDM\stsystra.exe
C:\Program Files\DellTPad\ApMsgFwd.exe
C:\WINDOWS\system32\WLTRAY.exe
D:\Program Files\Freegate\fg677p.exe
C:\Program Files\DellTPad\HidFind.exe
C:\Program Files\DellTPad\Apntex.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\vista\VisualTaskTips\VisualTaskTips.exe
C:\Program Files\Bluetooth Software\BTTray.exe
C:\Program Files\vista\Aqua Dock\Aqua Dock.exe
C:\Program Files\vista\Aqua Dock 2\Aqua Dock.exe
C:\PROGRA~1\BLUETO~1\BTSTAC~1.EXE

--------------- [ Informations lecteurs ] ----------------

C: - Lecteur fixe

D: - Lecteur fixe

--------------- [ Lecteur C ] ----------------

C: - Lecteur fixe

+- Listing des fichiers présents :

[14/11/2008 20:40][--a------] C:\AUTOEXEC.BAT
[14/04/2008 13:00][-rahs----] C:\NTDETECT.COM
[18/11/2008 19:14][---hs----] C:\boot.ini
[21/11/2008 18:28][--a------] C:\TCleaner.txt
[21/11/2008 18:28][--a------] C:\UsbFix.txt
[14/11/2008 20:40][--a------] C:\CONFIG.SYS
[14/11/2008 20:40][--a------] C:\IO.SYS
[14/11/2008 20:40][--a------] C:\MSDOS.SYS
[14/11/2008 20:40][--a------] C:\pagefile.sys

--------------- [ Lecteur D ] ----------------

D: - Lecteur fixe

+- Listing des fichiers présents :

--------------- [ Registre / Startup ] ----------------

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run]

SuperCopier2.exe=C:\Program Files\SuperCopier2\SuperCopier2.exe
ctfmon.exe=C:\WINDOWS\system32\ctfmon.exe
VisualTaskTips=C:\Program Files\vista\VisualTaskTips\VisualTaskTips.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run]

Apoint=C:\Program Files\DellTPad\Apoint.exe
IgfxTray=C:\WINDOWS\system32\igfxtray.exe
HotKeysCmds=C:\WINDOWS\system32\hkcmd.exe
Persistence=C:\WINDOWS\system32\igfxpers.exe
SigmatelSysTrayApp=%ProgramFiles%\SigmaTel\C-Major Audio\WDM\stsystra.exe
Broadcom Wireless Manager UI=C:\WINDOWS\system32\WLTRAY.exe
Ywkiqkwu=D:\Program Files\Freegate\fg677p.exe
Openwares LiveUpdate=C:\Program Files\LiveUpdate\LiveUpdate.exe
DELL Webcam Manager="C:\Program Files\Dell\Dell Webcam Manager\DellWMgr.exe" /s
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL=
Installed=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI=
Installed=1
NoChange=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS=
Installed=1

--------------- [ Registre / Mountpoint2 ] ----------------

-> Recherche négative.

--------------- [ Nettoyage des disques ] ----------------

Supprimé ! - [21/11/2008 17:47][--a------] C:\WINDOWS\system32\tmp.reg
Supprimé ! - [21/11/2008 17:47][--a------] C:\WINDOWS\system32\tmp.txt

--------------- [ Resumé ] ----------------

-> /!\ Le resultat doit etre interprété par un spécialiste /!\

[14/11/2008 20:40][--a------] C:\AUTOEXEC.BAT
[14/04/2008 13:00][-rahs----] C:\NTDETECT.COM
[18/11/2008 19:14][---hs----] C:\boot.ini

--------------- ! Fin du rapport ! ----------------

je dois faire la vaccination mnt ??

re

usbfix supprimera la vaccination tu devras refaire la et il va nettoyer le registre et supprimer le message que tu as

Telecharge UsbFix sur ton bureau

--> Lance l installation avec les parametres par default

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

--> Double clic sur le raccourci UsbFix sur ton bureau

-->choisis l option 1 (nettoyage)

--> Le pc va redémarer

-->Apres redémarrage post le rapport UsbFix.txt

Note : le rapport UsbFix.txt est sauvegardé a la racine du disque

Bien reçu et merci

donne moi 5 min pour faire la maj et on nettoie

je voudrais que tu aille a cette clé :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\DefaultUserName

tu clic droit et exporter vers tes documents et tu lui donnes un nom

tu auras dans tes document un fichier .reg

tu fais un clic droit dessus

tu choisi modifier

et tu copie colle l intégralité du contenu ici en messagerie privé

a te lire

lol

oué pas de soucis avec le script et t as bien fé de virer cette clé

je vais t envoyer un message privé pour la suite

c'est bon pour tCleaner il a tout effacé ou presque par ce que j'en avez deja desinstaller quelque uns avant lui, mais c'est pas le plus important...

tu t'en sors avec le script ??? deja, tu t'y connais toi en VBscript ???

PS : j'arrive maintenant a changer mon fond d'ecran, j'ai juste effacé la clé que le script avait rajouté avec la ligne :
BGfix="HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ActiveDesktop\NoChangingWallPaper"

re

j attend le rapport toolcleaner

j ai lu le script ...

j ai besoin d une info de plus , on le fera en mp

et je ferais une maj usbfix afin de soigner ton pc

RE

oui g le script je suis en train de l analyser

en attendant fais ceci :

Télécharge ToolsCleaner sur ton bureau.
-->
http://pc-system.fr/
http://www.commentcamarche.net/telecharger/telecharger 34055291 toolscleaner

# Clique sur Recherche et laisse le scan agir ...
# Clique sur Suppression pour finaliser.
# Tu peux, si tu le souhaites, te servir des Options facultatives.
# Clique sur Quitter pour obtenir le rapport.
# Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).

non il y a eu de l'amelioration puisque le fond d'ecran a disparu maintenant il est tout noir, mais je ne peux pas pour autant le changer, tu sais ce n'est pas tellement ca qui me derange, c'est surtout le message qui s'affiche a chaque ouverture de session "Hi !! dont worry i'm a friend !! have a nice day !!!"

et je t'ai reenvoyé le script regarde dans ta boite a message !!!

je n ai pas recu le script

tu peux toujours pas changer ton fond d ecran ..??

voici le rapport mais je pense pas qu'il aie été efficace...
Tu as compris de quoi il s'agissait pour le script ??

SmitFraudFix v2.376

Rapport fait à 17:47:34,28, 21/11/2008
Executé à partir de D:\Telechargements\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

Problème suppression C:\autorun.inf

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» RK

»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{9AEA5410-FEDE-46D8-A7FC-54929FEC1DF5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{9AEA5410-FEDE-46D8-A7FC-54929FEC1DF5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{9AEA5410-FEDE-46D8-A7FC-54929FEC1DF5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

relance smithfraud option 2 et post le rapport tu devrais ensuite pourvoir remettre ton fon d ecran

voici le resultat du rapport avec SmitFraudFix v2.376 :

SmitFraudFix v2.376

Rapport fait à 17:12:05,76, 21/11/2008
Executé à partir de d:\Program Files\Mozilla Firefox\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\CDBurnerXP\NMSAccessU.exe
C:\Program Files\Raxco\PerfectDisk2008\PD91Agent.exe
C:\Program Files\SigmaTel\C-Major Audio\DellXPM_5515v133\WDM\STacSV.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\DellTPad\Apoint.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\SigmaTel\C-Major Audio\WDM\stsystra.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\system32\WLTRAY.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\DellTPad\ApMsgFwd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\vista\VisualTaskTips\VisualTaskTips.exe
C:\Program Files\DellTPad\HidFind.exe
C:\Program Files\DellTPad\Apntex.exe
C:\Program Files\Bluetooth Software\BTTray.exe
C:\Program Files\vista\Aqua Dock\Aqua Dock.exe
C:\Program Files\vista\Aqua Dock 2\Aqua Dock.exe
C:\Program Files\vista\WFlip050\WinFlip.exe
C:\PROGRA~1\BLUETO~1\BTSTAC~1.EXE
C:\WINDOWS\system32\wuauclt.exe
D:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Notepad++\notepad++.exe
d:\Program Files\Mozilla Firefox\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

C:\autorun.inf PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\alex

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\alex\LOCALS~1\Temp

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\alex\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\alex\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» RK

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Carte Mini de réseau local sans fil Wireless 1395 de Dell - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{9AEA5410-FEDE-46D8-A7FC-54929FEC1DF5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{9AEA5410-FEDE-46D8-A7FC-54929FEC1DF5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{9AEA5410-FEDE-46D8-A7FC-54929FEC1DF5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

non, désolé mais je ne confirme pas !!
j'arrive toujours pas a changer de fond d'ecran, mais la vaccination c'est correctement effectuée a ce que j'ai compris, je pense qu'il y a des clés dans la base de registre dont le script a modifier les valeur et que je doit retablir..

Personnellement j'evite toujours de toucher a la base de registre sauf si je suis guidé par quelqu'un qui s'y connait !!
donc je veux pas m'aventurer a ca, surtout que j'ai essayer de comprendre ce que faisait ce script et j'ai pas tout compris, je m'y connais assez en langage c et java mais il y a des trucs dans vbscript qui me depassent un peu...

relance usbfix et fait la vaccination

tu devrais pourvoir changer ton fon d ecran ... tu confirmes ??